Acheter un fichier de prospects ressemble à un raccourci commercial : des milliers d’adresses électroniques ou de numéros de téléphone livrés clé en main, une campagne d’emails ou de SMS lancée dans la foulée, des rendez-vous qui suivent. Le raccourci se referme pourtant vite quand les destinataires signalent des messages jamais sollicités, quand la Commission nationale de l’informatique et des libertés (CNIL) contrôle la provenance des données et quand le vendeur du fichier se révèle incapable de prouver le moindre consentement. Le 15 mai 2025, la formation restreinte de la CNIL a ainsi sanctionné une société qui achetait des données de prospects auprès de courtiers : une amende de 900 000 euros rendue publique, précisément pour avoir démarché des prospects sans consentement valable. La décision reste susceptible de recours, et chaque situation doit être appréciée sur ses propres pièces, mais le message vaut pour tout acheteur de fichier : payer la base ne transfère jamais, à lui seul, le droit de prospecter.
La difficulté tient à l’empilement des rôles. Le vendeur collecte, l’acheteur redémarre un nouveau traitement en prospectant à son tour, et la personne démarchée subit deux utilisations successives de ses coordonnées sans toujours comprendre qui a transmis quoi à qui. Chacun répond de sa propre étape : le vendeur de la régularité de sa collecte et de sa cession, l’acheteur de l’information des personnes, de la base légale de sa prospection et de la gestion des oppositions. Le contrat signé entre eux prime pour répartir les garanties et les coûts, sans être opposable aux personnes concernées ni à la CNIL. Seul le juge, saisi d’un recours ou d’une demande de réparation, tranche en dernier ressort.
Cet article décrit la méthode complète, côté acheteur comme côté personne démarchée : vérifier le fichier avant de l’utiliser, sécuriser le contrat d’achat, informer les prospects, prouver le consentement pour tout message électronique, traiter les désinscriptions, et mesurer les sanctions encourues. Les règles citées sont celles applicables en France à la date de rédaction, avec leurs références officielles.
I. Avant toute campagne : vérifier que le fichier acheté est juridiquement exploitable
Un fichier acheté n’est pas une marchandise ordinaire. Il contient des données personnelles — identités, adresses électroniques, numéros de téléphone, parfois adresses postales — et sa simple transmission constitue déjà un traitement encadré par le règlement général sur la protection des données (RGPD). L’acheteur qui l’exploite sans vérification commet sa propre faute, même si le vendeur lui a affirmé que tout était en règle.
A. Exiger du vendeur la preuve d’une collecte régulière et de données encore utilisables
La CNIL le rappelle sans détour à propos de la vente de fichiers de clientèle : seuls les fichiers constitués dès le départ dans le respect de la réglementation peuvent faire l’objet d’une vente, car seuls les fichiers qui ont été constitués dès le départ dans le respect de la réglementation peuvent faire l’objet d’une vente. Autrement dit, l’acheteur doit exiger du vendeur la démonstration de trois points avant de payer : des données collectées loyalement, des personnes qui ne s’y sont pas opposées ou qui ont consenti à la transmission, et des données qui ne sont pas périmées.
Premier point, la loyauté de la collecte. Le vendeur doit indiquer comment chaque coordonnée a été recueillie : formulaire de jeu-concours, demande de devis, création de compte, bon de commande. Les formulaires trompeurs, qui pré-cochent des cases, qui noient l’accord dans des conditions générales ou qui valorisent le bouton d’acceptation par sa taille et sa couleur au détriment du refus, ne produisent pas un consentement valable. Dans l’affaire ayant conduit à la sanction de 900 000 euros du 15 mai 2025, la formation restreinte a précisément retenu que l’apparence trompeuse des formulaires mis en oeuvre par les courtiers en données ne permet pas de recueillir un consentement libre et univoque. L’acheteur doit donc demander des captures des formulaires de collecte, la date de chaque consentement et le texte exact présenté aux personnes. À défaut, il achète un risque.
Deuxième point, le tri des opposants. Avant toute transmission, le vendeur doit retirer du fichier les personnes qui ont refusé que leurs données soient cédées. La règle posée par la CNIL est explicite : les données des clients qui se sont opposés à leur transmission à des fins de prospection par voie postale ou téléphonique, et ceux qui n’ont pas consenti à la transmission des données à des fins de prospection par voie électronique, devront être supprimées du fichier avant que celui-ci ne soit transmis à l’acquéreur. L’acheteur doit exiger une attestation datée de ce tri, la liste des listes d’opposition interrogées et la méthode de déduplication. Un fichier brut, non filtré, n’est pas un produit fini : c’est un passif.
Troisième point, la fraîcheur des données. Une coordonnée collectée il y a six ans, jamais réactivée, ne peut pas être exploitée comme si le consentement était éternel. La CNIL recommande de ne conserver les données de clients utilisées à des fins de prospection que pendant la relation commerciale puis, sauf exception justifiée, pour une durée de 3 ans à compter de la fin de cette relation commerciale, par exemple à compter d’un achat, de l’expiration d’une garantie, du terme d’un contrat de prestations ou du dernier contact émanant du client. Les données conservées uniquement à des fins administratives, comptables ou contentieuses ne doivent jamais être cédées. L’acheteur doit donc exiger la date du dernier contact actif pour chaque lot et refuser les lots anciens sans réactivation prouvée. Pour les prospects qui ne sont jamais devenus clients, la durée raisonnable est encore plus courte : sans interaction récente, le consentement initial s’est vidé de sa substance et la prospection devient une loterie contentieuse.
Quatrième point, la sécurité de la transmission elle-même. L’envoi du fichier par pièce jointe non chiffrée, le dépôt sur un espace partagé sans contrôle d’accès ou la remise sur clé USB non tracée constituent déjà des manquements à la sécurité. Les conditions de transmission et de remise des données entre le vendeur et l’acquéreur devront s’effectuer de façon à garantir la sécurité et la confidentialité des données. L’acheteur documente le canal utilisé, limite les destinataires internes et chiffre le fichier au repos. Cette discipline protège aussi contre les accusations ultérieures de fuite ou de détournement.
Enfin, l’acheteur inscrit le fichier dans son registre des activités de traitement, avec la source exacte — le nom du vendeur —, les catégories de données, les finalités et les durées. Cette mention de la source n’est pas une formalité : elle conditionne l’information due aux personnes et, en cas de contrôle, elle prouve que l’entreprise sait d’où viennent ses données. Un acheteur incapable de nommer ses primo-collectants, de dater les consentements et de produire les formulaires d’origine commence sa campagne sans bouclier.
B. Écrire un contrat d’achat qui transfère les garanties, pas seulement les lignes
Le contrat de cession du fichier est le seul document qui permette à l’acheteur de se retourner contre le vendeur si la base se révèle inexploitable. Les affirmations commerciales du type base vérifiée ou contacts opt-in ne valent que si elles deviennent des obligations écrites, assorties de sanctions. Cinq clauses méritent une attention particulière.
La clause d’origine et de conformité décrit précisément la provenance : sites de collecte, dates, textes de consentement annexés, tris effectués. Le vendeur garantit que chaque personne cédée a été informée de la cession envisagée et, pour la prospection électronique, qu’elle y a consenti en connaissant l’identité de l’acquéreur ou au moins la catégorie précise de partenaires à laquelle il appartient. Cette exigence de précision n’est pas théorique : le 5 mai 2025, le Conseil d’État, saisi du recours d’un groupe sanctionné de 600 000 euros pour des manquements incluant la prospection issue de données transmises par des fournisseurs d’accès, a sursis à statuer et renvoyé à la Cour de justice de l’Union européenne la question de savoir si un consentement donné à un primo-collectant pour une simple catégorie de destinataires, en l’espèce les partenaires, peut valoir consentement éclairé permettant à chacun d’eux de prospecter sans recueillir un nouveau consentement (Conseil d’État, 10e-9e chambres réunies, 5 mai 2025, n° 490202). Tant que la Cour n’a pas tranché, l’acheteur prudent exige un consentement qui le désigne nommément plutôt qu’une vague mention de partenaires, et il fait peser par écrit sur le vendeur la garantie de cette désignation.
La clause de preuve organise la remise des justificatifs : exports horodatés des consentements, copies des formulaires, journaux des oppositions, attestations de filtrage. Le RGPD fait peser la charge de la démonstration sur le responsable du traitement : dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. Un vendeur qui refuse de livrer ces preuves, au motif du secret commercial, vend un fichier que l’acheteur ne pourra pas défendre devant la CNIL. Le contrat doit donc prévoir la livraison des preuves avec le fichier, leur conservation pendant toute la durée d’exploitation plus le délai de prescription, et un droit d’audit de l’acheteur.
La clause de garantie et d’indemnisation prévoit ce qui se passe si une partie du fichier s’avère inexploitable : remplacement des lignes défectueuses, réduction de prix proportionnelle, prise en charge des frais de mise en conformité et des condamnations encourues du fait des manquements du vendeur. Le contrat ne peut pas transférer à l’avance la responsabilité pénale ou administrative de l’acheteur, qui reste personnellement responsable de sa propre campagne, mais il peut répartir le coût financier entre professionnels. Sans cette clause, l’acheteur paie deux fois : le prix du fichier et le prix de la sanction.
La clause de sort des oppositions et des demandes d’exercice des droits organise la circulation de l’information après la vente : quand une personne écrit au vendeur pour s’opposer alors que ses données ont déjà été cédées, le vendeur doit répercuter sans délai ; quand elle écrit à l’acheteur en contestant la source, l’acheteur doit pouvoir interroger le vendeur. Un délai de répercussion de quelques jours ouvrés, un interlocuteur désigné de chaque côté et un registre partagé des demandes évitent les doubles prospections fautives.
La clause de confidentialité et de non-réutilisation interdit au vendeur de revendre le même fichier déjà cession-exclusive à un concurrent direct pendant une durée convenue, et interdit à l’acheteur de reconstituer, à partir des données, des informations que le vendeur n’a pas cédées. Elle rappelle aussi que le détournement d’un fichier, notamment avec l’aide d’anciens salariés ou d’anciens partenaires, relève de la concurrence déloyale et se chiffre lourdement : dans un arrêt du 26 février 2025, la chambre commerciale de la Cour de cassation a examiné une affaire où une école reprochait à une structure concurrente d’avoir détourné, grâce à la collaboration de deux de ses anciens salariés, et utilisé à leur profit des données qu’elle avait élaborées, avant de casser partiellement l’arrêt d’appel uniquement sur le calcul du préjudice, initialement fixé à 864 064,50 euros. La leçon pour l’acheteur est double : un fichier obtenu par un canal déloyal expose à une action en concurrence déloyale distincte de la sanction CNIL, et le préjudice se mesure concrètement, ici en marges perdues élève par élève.
Avec ces cinq clauses, le contrat cesse d’être un simple bon de commande : il devient la première pièce du dossier de conformité que l’acheteur présentera en cas de plainte ou de contrôle.
II. Après l’achat : prospecter sans créer une seconde faute
Disposer d’un fichier régulier ne suffit pas. L’acheteur devient à son tour responsable d’un nouveau traitement dès qu’il contacte les prospects, et chaque message doit respecter ses propres conditions. L’erreur la plus fréquente consiste à croire que le consentement donné au vendeur vaut blanc-seing pour l’acheteur : c’est exactement l’inverse que les textes et la jurisprudence récente imposent de vérifier.
A. Informer chaque prospect et ne prospecter par voie électronique qu’avec un consentement prouvable
Dès qu’il utilise des données qu’il n’a pas collectées lui-même, l’acheteur doit informer les personnes. Le RGPD fixe le calendrier : le responsable du traitement fournit les informations dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, et en tout état de cause au plus tard au moment de la première communication à ladite personne si les données servent à communiquer avec elle. Concrètement, le premier message adressé au prospect doit déjà contenir ou accompagner l’information requise : identité de l’acheteur, coordonnées du délégué à la protection des données s’il existe, finalités de la prospection, base juridique, catégories de données, source exacte des données — c’est-à-dire le nom de la société qui a vendu le fichier —, durée de conservation, droits d’accès, de rectification, d’effacement et d’opposition, et droit d’introduire une réclamation auprès de la CNIL. La CNIL précise ce point pour les fichiers vendus : l’acquéreur informe les personnes dès que possible, notamment lors du premier contact, et au plus tard dans un délai d’un mois, sauf si elles ont déjà reçu ces informations, en mentionnant la source des données (page de la CNIL sur la vente de fichiers clients). Un premier message qui se contente de vanter une offre, sans dire d’où vient l’adresse ni comment s’opposer, cumule deux manquements : défaut d’information et prospection potentiellement sans base.
Pour la prospection par courrier électronique, SMS ou automate d’appel, l’exigence se durcit : il faut un consentement préalable. L’article L. 34-5 du code des postes et des communications électroniques dispose qu’est interdite la prospection directe au moyen de système automatisé de communications électroniques utilisant les coordonnées d’une personne physique qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. Le même article définit ce consentement comme toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe. Le RGPD ajoute ses propres adjectifs — libre, spécifique, éclairé et univoque — en définissant le consentement comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement. Cases pré-cochées, accord glissé dans des conditions générales, silence valant acceptation : aucune de ces pratiques ne satisfait ces définitions.
Deux configurations se présentent alors à l’acheteur, et la CNIL les distingue nettement. Premier cas : le vendeur avait déjà recueilli le consentement des clients pour les opérations de l’acquéreur nommément désigné, parce que l’acquéreur figurait déjà, au moment de la collecte, dans la liste des sociétés partenaires auxquelles les données seraient transmises. L’acheteur peut alors démarcher directement les personnes ayant consenti à cette transmission. Second cas : le vendeur n’a pas recueilli un tel consentement pour l’acquéreur. L’acheteur doit alors recueillir lui-même, préalablement, le consentement des personnes avant toute prospection électronique — par exemple par un premier contact non commercial sollicitant l’accord, ou par tout autre canal pour lequel il dispose déjà d’une base légale. Prospecter d’abord et régulariser ensuite inverse l’ordre légal et caractérise le manquement.
C’est ici que le renvoi préjudiciel du Conseil d’État du 5 mai 2025 prend toute son importance pratique. La question posée à la Cour de justice est de savoir si un consentement donné pour une catégorie générique de destinataires — les partenaires du primo-collectant — peut être regardé comme éclairé, ou si chaque destinataire dont l’identité n’était pas connue au moment du consentement doit recueillir un nouveau consentement avant de prospecter (Conseil d’État, 5 mai 2025, n° 490202). Dans cette décision, le Conseil d’État a d’ailleurs choisi de surseoir : il est sursis à statuer sur la requête de la société Groupe Canal + jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée. En attendant la réponse de Luxembourg, l’acheteur avisé tire une conséquence opérationnelle simple : plus la mention du consentement d’origine est vague — partenaires, tiers de confiance, sociétés du groupe sans les nommer — plus il doit solliciter un nouveau consentement avant d’envoyer le moindre email ou SMS commercial. Les formulaires qui se contentent d’une case partenaires exposent désormais à une double incertitude, sur la validité du consentement et sur son périmètre.
Reste l’exception des clients déjà connus, souvent invoquée à tort. La prospection par courrier électronique reste autorisée sans consentement préalable lorsque les coordonnées ont été recueillies directement auprès du destinataire à l’occasion d’une vente ou d’une prestation, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire a été mis en mesure de s’opposer simplement au moment de la collecte puis à chaque message. Cette tolérance ne profite qu’au vendeur initial pour ses propres produits analogues : elle ne se transmet pas à l’acheteur du fichier, qui est une autre personne morale proposant d’autres produits. Acheter les coordonnées des clients d’un tiers ne permet donc pas de se présenter comme leur fournisseur habituel. Chaque message doit en outre comporter des coordonnées de désinscription valables : la loi interdit d’émettre des messages de prospection sans indiquer de coordonnées valables auxquelles le destinataire puisse utilement transmettre une demande tendant à obtenir que ces communications cessent, et interdit de masquer l’identité de l’annonceur ou d’afficher un objet sans rapport avec l’offre. L’objet racoleur, l’expéditeur anonyme et le lien de désinscription inactif sont des manquements autonomes, relevés même quand le fichier d’origine était régulier.
Pour la prospection par voie postale ou téléphonique, le consentement préalable n’est pas exigé dans les mêmes termes, mais le droit d’opposition s’applique pleinement et les listes d’opposition doivent être respectées. La logique reste identique : informer, laisser une porte de sortie simple, et cesser immédiatement à la première demande. Les entreprises qui segmentent leurs campagnes — email et SMS sous consentement prouvé, courrier et téléphone sous opposition respectée — réduisent mécaniquement leur surface de risque.
B. Traiter les oppositions et les plaintes comme des pièces à conviction futures
Tout fichier de prospection génère des oppositions, des demandes d’accès et des plaintes. La manière dont l’acheteur les traite détermine, en cas de contrôle, s’il apparaît comme un professionnel diligent ou comme un prospecteur systématique. Trois réflexes structurent une gestion défendable.
D’abord, rendre l’opposition immédiate, simple et définitive. Toute personne démarchée peut s’opposer à tout moment à la prospection : le RGPD lui reconnaît le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, et l’opposition entraîne l’arrêt du démarchage pour cette finalité. Concrètement, chaque email comporte un lien de désinscription fonctionnel en un clic, chaque SMS un mot-clé de refus, chaque appel une prise en compte immédiate de la demande orale, et le site de l’acheteur une page dédiée permettant de retirer son consentement aussi facilement qu’il a été donné. Les demandes reçues sont exécutées sans délai — dans les jours qui suivent, pas au trimestre suivant — et la personne est retirée de toutes les bases actives, y compris celles confiées à des routeurs ou prestataires d’envoi. Continuer à prospecter après une désinscription, même par erreur d’un prestataire, engage la responsabilité de l’acheteur en tant que responsable du traitement. Les doublons internes — même adresse présente dans le fichier acheté et dans une ancienne base — doivent être purgés simultanément, sous peine de recontacter une personne qui s’était déjà opposée.
Ensuite, répondre aux demandes d’accès, de rectification et d’effacement comme à des échéances contentieuses. La personne qui reçoit un message inattendu demande souvent d’où vient son adresse, quelles données sont détenues et depuis quand. La réponse doit être complète, écrite, et adressée dans un délai d’un mois : source exacte avec le nom du vendeur, catégories de données, finalités, destinataires, durée de conservation, copie des données. Un refus de répondre, une réponse évasive ou un renvoi vers le vendeur caractérisent un manquement distinct au droit d’accès, que la CNIL sanctionne indépendamment du manquement de prospection. L’effacement demandé doit être exécuté sauf motif légitime impérieux de conservation, par exemple la preuve d’un contrat en cours ou d’un contentieux pendant, et la personne doit en être informée. Chaque échange est archivé : en cas de plainte ultérieure, ces pièces démontrent la diligence.
Enfin, mesurer précisément ce que coûte une campagne irrégulière, pour calibrer l’investissement de conformité. Côté CNIL, les manquements au RGPD exposent à des amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, avec une graduation tenant compte de la nature, de la gravité, de la durée, du nombre de personnes concernées et de la coopération. La sanction de 900 000 euros prononcée le 15 mai 2025 contre une société de courtage de données l’illustre : au-delà de l’amende rendue publique, la formation restreinte a prononcé une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable, assortie d’une astreinte de 10 000 euros par jour de retard à l’issue d’un délai de 9 mois. Côté répression de la prospection elle-même, les manquements à l’article L. 34-5 sont recherchés par les agents de la concurrence et de la consommation et sanctionnés par une amende administrative dont le montant ne peut excéder 75 000 euros pour une personne physique et 375 000 euros pour une personne morale. Côté victimes, toute personne ayant subi un dommage du fait d’une violation du RGPD a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi : les juridictions indemnisent le préjudice moral lié au démarchage persistant, à la revente des coordonnées et à la perte de maîtrise de ses données. S’y ajoutent, entre professionnels, les actions en concurrence déloyale lorsque le fichier a été constitué ou détourné de manière déloyale, sur le fondement de l’article 1240 du code civil, avec des préjudices chiffrés en centaines de milliers d’euros comme dans l’affaire jugée en février 2025 par la Cour de cassation.
Face à une campagne irrégulière, la personne démarchée dispose d’un parcours gradué : désinscription immédiate auprès de l’expéditeur avec conservation des preuves — captures des messages, en-têtes complets des emails, relevés des SMS, dates des appels —, demande d’accès et d’effacement à l’expéditeur puis au vendeur du fichier dont le nom doit avoir été communiqué, plainte auprès de la CNIL en joignant ces pièces, signalement aux services de la concurrence et de la consommation pour les manquements à l’article L. 34-5, et action en réparation devant le juge judiciaire pour le préjudice subi. Pour une analyse détaillée du versant défensif — messages non sollicités, désinscription ignorée, constitution du dossier de plainte — le lecteur peut se reporter à l’article du cabinet consacré aux emails commerciaux envoyés sans accord et à la désinscription ignorée. De son côté, l’entreprise qui découvre une irrégularité dans un fichier déjà exploité doit suspendre la campagne sur le lot douteux, purger les lignes concernées, informer le vendeur et mettre en demeure d’obtenir les preuves manquantes, documenter chaque étape, et n’envisager la reprise que sur des lignes dont le consentement est établi. Poursuivre sciemment une campagne dont le support est vicié transforme une négligence en manquement délibéré, critère d’aggravation de la sanction.
La directive européenne sur la vie privée dans les communications électroniques, dont l’article 13 impose le consentement préalable à la prospection par automate, télécopieur et courrier électronique et dont l’interprétation est au coeur du renvoi préjudiciel pendant devant la Cour de justice (présentation par la CNIL de la prospection par courrier électronique, SMS et automate d’appel), confirme que l’architecture d’ensemble repose sur l’opt-in : pas de message commercial électronique sans accord préalable et prouvable. Les contrats signés entre vendeur et acheteur organisent leurs recours réciproques, mais ne lient ni les personnes concernées ni les autorités de contrôle. Et lorsque la validité d’un consentement générique fait débat, comme dans l’affaire renvoyée par le Conseil d’État, la prudence commande de solliciter un nouvel accord plutôt que de parier sur une interprétation extensive : le coût d’un email de demande de consentement est dérisoire face à celui d’une sanction publique.
Conclusion
Acheter un fichier de prospects n’achète ni le consentement des personnes ni le silence des autorités. L’opération n’est régulière que si le vendeur prouve une collecte loyale, un tri des opposants et des données récentes, si le contrat transfère les preuves et les garanties, si l’acheteur informe chaque prospect au plus tard au premier contact, s’il ne prospecte par voie électronique qu’avec un consentement désignant son usage, et s’il exécute les oppositions sans délai. Les décisions récentes — 900 000 euros d’amende pour prospection sans consentement valable, renvoi à la Cour de justice sur la portée du consentement donné pour de simples partenaires, cassation sur le chiffrage du préjudice lié au détournement de données — montrent que chaque maillon répond de sa propre étape et que les montants se chiffrent en données, en marges et en astreintes journalières. Dans ce paysage, le fichier le moins cher est rarement le moins coûteux : celui dont le vendeur livre les formulaires, les horodatages et les attestations de tri est le seul qui permette de prospecter, de prouver et de durer.